Par Cédric Dossou Yovo
En gestion locative automatisée, le RGPD impose trois choses : une intervention humaine réelle et tracée sur tout refus de dossier (article 22, arrêt CJUE SCHUFA du 7 décembre 2023), des durées de conservation conformes au référentiel CNIL du 6 mai 2021 (3 mois en base active pour un candidat non retenu, puis 3 ans en gestion directe et 5 ans en gestion déléguée), et un contrat de sous-traitance article 28 avec ton éditeur. Les obligations AI Act haut risque, dont le scoring de solvabilité, s'appliquent au 2 décembre 2027 (règlement UE 2026/1744), mais le RGPD, lui, s'applique déjà.
## L'essentiel Un logiciel ne peut pas refuser un candidat seul (article 22 RGPD, arrêt CJUE SCHUFA C-634/21 du 7 décembre 2023). Les pièces de solvabilité d'un candidat non retenu se suppriment à 3 mois (référentiel CNIL gestion locative du 6 mai 2021). L'éditeur est sous-traitant, le responsable de traitement c'est l'agence. En 2025 la CNIL a prononcé 486 839 500 € d'amendes, 83 sanctions dont 67 en procédure simplifiée, 143 mises en demeure.
## Sanction de référence SERGIC, 28 mai 2019 : 400 000 € pour des justificatifs de candidats accessibles sans authentification et des durées de conservation non respectées. Confirmée par le Conseil d'État le 4 novembre 2020.
## Durées de conservation (référentiel CNIL 6 mai 2021) Prospect avant candidature : 3 ans depuis le dernier contact. Candidat non retenu : 3 mois en base active, pas d'archivage. Locataire retenu, gestion directe : durée du contrat jusqu'à clôture des comptes puis 3 ans d'archivage intermédiaire. Gestion déléguée ou semi-déléguée : 5 ans d'archivage intermédiaire.
## Les 5 workflows à risque Scoring locataire (article 22 et arrêt SCHUFA), quittances et relances automatiques, signature électronique et sous-traitants de preuve, archivage et durées de conservation, partage de données avec les sous-traitants dont les fournisseurs d'IA (article 28 RGPD, point 39 du référentiel CNIL).
## Pièces exigibles Le décret n° 2015-1437 du 5 novembre 2015 fixe une liste limitative des pièces demandables au candidat et à sa caution. Relevés de compte, casier judiciaire, contrat de mariage et données de santé sont interdits.
## AI Act Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au JOUE le 24 juillet 2026, reporte au 2 décembre 2027 les obligations des systèmes à haut risque de l'annexe III, dont le scoring de solvabilité (point 5 b), et au 2 août 2028 celles de l'annexe I. Les interdictions, la transparence, les règles sur les modèles à usage général et les sanctions restent applicables au 2 août 2026. Le RGPD, lui, s'applique sans délai.
## Checklist en 8 actions Recenser les traitements automatisés, purger les candidats non retenus à 3 mois, paramétrer deux durées d'archivage selon le mode de gestion, couper l'accès non authentifié aux pièces, réclamer le contrat article 28 et la liste des sous-traitants ultérieurs, documenter l'intervention humaine sur chaque refus, réécrire l'information aux personnes, planifier une revue semestrielle.
## Erreurs à éviter Croire que le report AI Act repousse le RGPD. Prendre la validation d'écran pour une intervention humaine. Confondre archivage intermédiaire et conservation en base active.
Non. L'article 22 du RGPD interdit les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques. L'arrêt CJUE SCHUFA du 7 décembre 2023 (C-634/21) précise que le calcul automatisé d'une probabilité de solvabilité constitue déjà une décision automatisée si le destinataire s'appuie fortement dessus. Il faut un motif de refus écrit par une personne identifiée, indépendant du score.
Trois mois en base active selon le référentiel CNIL relatif à la gestion locative du 6 mai 2021, pour les données d'appréciation de la solvabilité. Elles doivent être supprimées, pas archivées. Les données de prospects collectées avant candidature peuvent être conservées 3 ans à compter du dernier contact.
Durée du contrat jusqu'à la clôture des comptes en base active, puis archivage intermédiaire de 3 ans en gestion directe et 5 ans en gestion déléguée ou semi-déléguée, selon le référentiel CNIL. L'archivage intermédiaire suppose un accès restreint à des personnes identifiées.
Non, pas à la place de l'agence, qui reste responsable de traitement. L'éditeur est sous-traitant. Le référentiel CNIL rappelle au point 39 qu'un contrat conforme à l'article 28 du RGPD doit être établi, précisant objet, durée, nature du traitement, catégories de données, sécurité, sort des données en fin de contrat et sous-traitance ultérieure.
Oui. Le RGPD impose une information claire sur les traitements, y compris automatisés, dans une notice dédiée distincte du bail. Depuis le 2 août 2026, l'AI Act ajoute une obligation de transparence : un assistant conversationnel doit être identifié comme automatisé.
Non. Le règlement (UE) 2026/1744 du 8 juillet 2026 reporte au 2 décembre 2027 les obligations des systèmes à haut risque de l'annexe III et au 2 août 2028 celles de l'annexe I. Le RGPD est un texte distinct et reste exigible sans délai.
Le décret n° 2015-1437 du 5 novembre 2015 fixe une liste limitative. Sont interdits notamment les relevés de compte bancaire, l'extrait de casier judiciaire, le contrat de mariage et tout élément relatif à la santé.